NetWeaver

Die Schwachstelle steckt im LM Configuration Wizard des SAP NetWeaver Application Server Java – jener Server-Plattform, auf der zahlreiche SAP-Anwendungen aufsetzen. Der betroffene Konfigurationsassistent führt vor dem Ausführen seiner Aufgaben keine Authentifizierungsprüfung durch. Dadurch kann ein Angreifer aus der Ferne und ohne jegliche Anmeldung Konfigurationsschritte anstoßen, die eigentlich administrativen Nutzern vorbehalten sind. Besonders schwerwiegend ist die Möglichkeit, auf diesem Weg ein neues Benutzerkonto mit Administratorrechten anzulegen. Damit verschafft sich der Angreifer dauerhaft vollständige Kontrolle über das System und kann Vertraulichkeit, Integrität und Verfügbarkeit gleichermaßen untergraben – also Daten einsehen, verändern und den Betrieb stören. Da es sich um eine zentrale Plattform für betriebskritische SAP-Landschaften handelt und der Assistent ohne Hürde erreichbar ist, steht der Angriffsweg überall dort offen, wo die Komponente aus dem Netz erreichbar ist.